RIoTPot

RIoTPot é um honeypot de interação híbrida, focado principalmente na emulação de protocolos IoT e OT, embora também seja capaz de emular outros serviços. Em essência, o RIoTPot atua como um serviço de proxy para outros honeypots incluídos no sistema. Portanto, você pode executar qualquer honeypot e outros serviços juntamente com o RIoTPot. Além disso, existe uma aplicação web UI que você pode usar para gerenciar seu roteamento.

O honeypot vem com múltiplos serviços de baixa interação prontos para uso. Como esses serviços são escritos como plugins, eles são suportados apenas no Linux; no entanto, você pode iniciar o RIoTPot sem eles. A tabela a seguir contém a lista de serviços incluídos no RIoTPot por padrão, sua porta interna e porta de proxy.

Índice

• RIoTPoT
  • 1. Arquitetura
  • 2. Como usar o RIoTPot
  • 3. Comandos

1. Arquitetura

A arquitetura do RIoTPot é baseada em conexões de proxy para serviços internos e circundantes (ou externos) (ex.: honeypots, serviços completos, contêineres, hosts remotos, etc.). Para isso, o honeypot gerencia vários proxies definidos pelo usuário que retransmitem conexões entre os serviços e o RIoTPot ¹. Dessa forma, o RIoTPot pode decidir como e para onde rotear ataques recebidos. A lógica usada para determinar como lidar com o ataque recebido é implementada na forma de middlewares ². Para gerenciar serviços, middlewares e proxies, o RIoTPot traz embutidos uma API REST ³ e uma interface web UI ⁴ prontos para uso. A UI pode ser acessada pelo seu navegador em localhost:2022 e você pode manipular os endpoints da API em localhost:2022/api/swagger, exibindo uma interface Swagger.

Figura 1 mostra a arquitetura do RIoTPot, incluindo os dois aplicativos principais que constituem o RIoTPot (o próprio RIoTPot e o RIoTPot UI) e seus componentes, e uma seção para envolver serviços externos (ou adjacentes).

Figura 1. Arquitetura do RIoTPot, incluindo o aplicativo principal, serviços externos e a webapp UI para gerenciar instâncias do RIoTPot.

O RIoTPot é escrito em Golang⁵. Cada instância do RIoTPot expõe proxies registrados (com base em sua porta) sob demanda. Para servir um proxy, ele deve ter um serviço vinculado e a porta do proxy deve estar disponível (atualmente, o RIoTPot não aceita múltiplos serviços executando na mesma porta). Quando um proxy é vinculado e servido, os atacantes poderão enviar mensagens ao RIoTPot nessa porta, retransmitindo as mensagens para o serviço vinculado e de volta para o atacante⁶.

Para facilitar o acesso, múltiplas instâncias do RIoTPot podem ser gerenciadas a partir da webapp UI do RIoTPot. Além de gerenciar os proxies registrados em cada instância, a UI permite criar, usar e editar perfis. Cada perfil contém um número de proxies nomeados após protocolos ou outros serviços, fazendo com que uma instância do RIoTPot se assemelhe a um dispositivo real (por exemplo, um assistente residencial). Em poucas palavras, os perfis aceleram o processo de configuração e provisionamento de uma instância do RIoTPot com configurações específicas. A UI é escrita usando a biblioteca JavaScript de front-end React (usamos TypeScript neste projeto) e a biblioteca de gerenciamento de estado Recoil. Como o RIoTPot é relativamente pequeno, por enquanto, ele não utiliza um banco de dados.

2. Como usar o RIoTPot

Executar o RIoTPot é relativamente simples. No geral, você tem três opções. A primeira é baixar uma versão do RIoTPot; você pode escolher baixar a versão mais recente ou uma anterior. A segunda opção é construir o projeto você mesmo. A última opção é usar o código-fonte para criar um contêiner Docker com o RIoTPot e alguns aplicativos adicionais para aprimorar o honeypot.

📁 riotpot
    ┕ riotpot
    ┕ 📁 plugins